El código que te llega por SMS es mejor que nada, pero tiene un problema de diseño que ninguna mejora va a corregir: no protege tu cuenta, protege tu número de teléfono. Y tu número puede acabar en manos de otro sin que nadie toque tu móvil.En corto: si usas el SMS como segundo factor en el correo, en redes sociales o en tu gestor de contraseñas, esta guía te explica por qué conviene cambiarlo y por qué orden. La escalera es clara: app autenticadora como mínimo, passkeys donde estén disponibles y llave física FIDO2 para las cuentas que no te puedes permitir perder. El SMS se queda como último recurso, no como cerrojo principal.¿Qué tiene de malo el SMS?Que el código va al número, no al aparato, y el número se puede duplicar. Es el fraude del duplicado de SIM (SIM swapping): alguien se hace pasar por ti ante tu operadora, consigue una SIM nueva con tu número y, desde ese momento, los SMS con códigos le llegan a él.INCIBE lo explica en su blog para ciudadanos, en un artículo sobre por qué a un ciberdelincuente le interesa duplicar tu tarjeta SIM: el atacante busca precisamente el código de un solo uso que el banco envía por SMS. Para pedir el duplicado necesita tus datos personales (nombre, DNI, fecha de nacimiento, dirección de facturación o los últimos dígitos de tu cuenta), que puede obtener con phishing, tiendas falsas, encuestas virales, filtraciones de servicios o lo que publicas en redes. La señal de alarma, según INCIBE, es quedarte sin cobertura donde normalmente la tienes, sin motivo aparente.No es una hipótesis de laboratorio. La Agencia Española de Protección de Datos multó con 70.000 euros a la operadora Digi en julio de 2023 por entregar un duplicado de SIM a un tercero que no era el titular de la línea, y después desestimó su recurso de reposición. Según la resolución, el 26 de octubre de 2022 la línea estuvo activa de forma irregular desde las 16:30 hasta las 17:44; según contaba Xataka Móvil, en esas horas los estafadores hicieron varias transferencias desde la cuenta de la víctima. Hay un segundo riesgo más silencioso: el NIST recoge entre sus amenazas que una aplicación maliciosa en el propio móvil lea el código del SMS, una de las capacidades típicas del spyware y otros tipos de malware que pueden infectar tu dispositivo.¿Qué dicen las autoridades sobre el SMS?Que se puede seguir usando, pero como opción de riesgo y con alternativa obligatoria. La guía de referencia es la SP 800-63B-4 del NIST, la norma de autenticación digital del Gobierno de Estados Unidos, publicada en su versión final en julio de 2025. En ella, la autenticación por la red telefónica (SMS o llamada de voz) es, a la fecha de su publicación, el único «autenticador restringido»: quien lo acepte debe asumir explícitamente sus riesgos, ofrecer al menos una alternativa no restringida, avisar al usuario de esos riesgos y tener un plan de migración por si deja de ser aceptable. El propio NIST recomienda vigilar señales como un cambio de SIM o una portabilidad antes de enviar un código.La CISA, la agencia de ciberseguridad estadounidense, fue más directa en su guía de buenas prácticas para comunicaciones móviles de diciembre de 2024: «No uses el SMS como segundo factor de autenticación». Hay que leerla en su contexto: está dirigida a personas «altamente expuestas», como altos cargos políticos y de Gobierno, aunque la agencia dice que sus consejos sirven para cualquiera.La escalera de alternativas, de menos a más seguraPeldaño 1: app autenticadoraLas aplicaciones que generan códigos de seis dígitos en el propio móvil eliminan el problema del duplicado de SIM: el código vive en el aparato, no en la línea. CISA resume bien su límite: «son mejores que el SMS, pero siguen siendo vulnerables al phishing». Si una web falsa te pide el código y lo escribes, el atacante lo usa al momento. Es el cambio mínimo que deberías hacer hoy en el correo y en tus redes.Peldaño 2: passkeysUna passkey (llave de acceso) es una credencial basada en los estándares de la FIDO Alliance que se guarda en tu móvil, tu ordenador o una llave de seguridad, y que desbloqueas igual que el teléfono: huella, cara, PIN o patrón. Según la FIDO Alliance, sustituyen la contraseña por un par de claves criptográficas, resisten el phishing por diseño y no hay ningún secreto compartido que robar. Pueden sincronizarse entre tus dispositivos o quedar ligadas a uno solo. Si quieres el detalle técnico, aquí tienes qué son las passkeys y por qué van a jubilar tus contraseñas.La FIDO Alliance cita una encuesta independiente que encargó en 2024: el 53 % de las personas había activado passkeys en al menos una cuenta y el 22 % en todas las que podía. Es un dato de la propia organización que las promueve, así que conviene tomarlo como tendencia, no como foto exacta.Peldaño 3: llave física FIDO2Es el nivel máximo. CISA afirma que la autenticación FIDO es «la forma más fuerte de MFA» y resiste las técnicas para saltarse el segundo factor. El NIST lo traduce a requisitos: su nivel de seguridad más alto, AAL3, exige un autenticador resistente al phishing con una clave privada no exportable, y por eso excluye las passkeys sincronizadas. Para la mayoría de la gente, una llave física (mejor dos, una de reserva) solo tiene sentido en dos o tres cuentas críticas: el correo principal, la cuenta de Google o Apple y el gestor de contraseñas.Qué hacer esta semanaRevisa qué cuentas usan SMS como segundo factor y cambia al menos el correo y las redes a app autenticadora o passkey.Activa passkeys allí donde te las ofrezcan.Pide a tu operadora un PIN o clave para operaciones sensibles, como duplicados o portabilidades. CISA lo recomienda en su guía y, según la resolución de la AEPD, la propia Digi propuso a la víctima establecer una palabra clave para futuros duplicados.Si te quedas sin cobertura de repente, llama a tu operadora en ese momento y, si ves cargos extraños, a tu banco. INCIBE añade cambiar credenciales, revisar las opciones de recuperación y guardar pruebas para denunciar. El 017 te orienta gratis.Una advertencia honesta: en muchos bancos españoles el SMS sigue siendo el método para confirmar pagos y no siempre puedes cambiarlo. Ahí la defensa pasa por blindar la línea y vigilar la cobertura. Mi postura es que el problema ya no es técnico, sino de inercia: existen alternativas mejores y más cómodas, y mantener el SMS como cerrojo principal de una cuenta importante es, a estas alturas, una decisión que trabaja a favor del atacante.La noticia Por qué el SMS ya no es un segundo factor seguro y qué usar en su lugar fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.